CVE-2026-105128

LaraDashboard od wersji 1.4.0 do 1.4.8 zawiera podatność typu race condition w RegisterController::register, która pozwala nieuwierzytelnionym atakującym obejść dzienny limit rejestracji na IP. Atakujący mogą wysłać wiele równoczesnych żądań rejestracji z jednego IP, tak aby wszystkie przeszły RegistrationGuardService::hasExceededIpLimit przed wykonaniem recordRegistration, tworząc konta masowo i obchodząc mechanizmy antyautomatyzacyjne.

LaraDashboard przed wersją 1.4.8 zawiera podatność nieprawidłowej autoryzacji, która pozwala uwierzytelnionym użytkownikom z jedynie uprawnieniem settings.view odczytywać przechowywane sekrety poprzez API ustawień. Atakujący mogą odpytywać GET /api/settings lub /api/settings/{option_name}, aby uzyskać tekstowe klucze API dostawców AI, dane logowania do poczty, hasła i tokeny.

LaraDashboard w wersjach od 1.4.2 do 1.4.8 stosuje zaawansowaną walidację adresów e-mail w żądaniach resetowania hasła dla niezalogowanych użytkowników, co wywołuje zapytania DNS oraz płatne weryfikacje AbstractAPI. Nieuwierzytelniony atakujący może wysyłać dowolne adresy, aby wyczerpać limit weryfikacji, powodując, że walidacja przestaje działać (fail open) dla wszystkich publicznych formularzy, oraz może sondować rozwiązywanie domen.

LaraDashboard przed wersją 1.4.8 zawiera podatność niewłaściwego zarządzania uprawnieniami, która pozwala uwierzytelnionym administratorom na eskalację do Superadmina poprzez edycję lub zmianę nazwy ról. Atakujący z uprawnieniem role.edit może zmienić nazwę swojej roli na Superadmin lub przyznać uprawnienia user.login_as, aby przejąć konta i uzyskać dostęp do funkcji aktualizacji rdzenia oraz instalacji modułów, co umożliwia wykonanie kodu.

LaraDashboard przed wersją 1.4.8 zawiera podatność typu path traversal, która pozwala nieuwierzytelnionym atakującym odczytywać pliki JSON poprzez manipulację segmentem trasy {lang}. Na hostach Windows atakujący mogą wysyłać sekwencje zakodowane w URL, takie jak ..%5C, aby wyjść poza resources/lang i odczytać composer.json lub inne pliki JSON aplikacji.

laradashboard do wersji 1.2.2 zawiera podatność braku autoryzacji w endpointach Local License API, która pozwala każdemu uwierzytelnionemu użytkownikowi odczytywać, nadpisywać i usuwać klucze licencji modułów premium. Atakujący z kontem o niskich uprawnieniach może uzyskać dostęp do endpointów GET /api/admin/licenses/show, POST /api/admin/licenses/store i POST /api/admin/licenses/remove, aby ujawnić poufne klucze licencji, wstrzyknąć wartości kontrolowane przez atakującego lub całkowicie usunąć przechowywane licencje.

LaraDashboard w wersjach od 0.9.2 do 1.2.2 zawiera podatność path traversal w obsłudze kopii zapasowych podczas aktualizacji rdzenia. CoreUpgradeController i BackupService łączą wartość backup_file/filename podaną przez użytkownika bezpośrednio ze ścieżką katalogu kopii zapasowych, bez normalizacji, bez użycia basename() i bez weryfikacji, czy wynikowa ścieżka pozostaje w storage/app/core-backups. Uwierzytelniony użytkownik z uprawnieniem settings.edit może użyć sekwencji ../ do usunięcia dowolnych plików lub przywrócenia archiwum ZIP z dowolnej lokalizacji, co prowadzi do zdalnego wykonania kodu.

LaraDashboard w wersjach 0.9.0 do 1.2.2 nie oczyszcza zawartości plików SVG podczas przesyłania multimediów, co pozwala uwierzytelnionym użytkownikom z uprawnieniem media.create na przesyłanie złośliwych plików SVG zawierających skrypty. Gdy jakikolwiek użytkownik, w tym administrator, otworzy przechowywany plik SVG wyświetlany w kontekście aplikacji, osadzony JavaScript wykonuje się w kontekście pulpitu, umożliwiając przejęcie sesji i konta administratora.